WEB常见漏洞及修复参考 浅浅的花香味﹌ 2022-02-04 15:59 289阅读 0赞 <table> <tbody> <tr> <td>漏洞类型</td> <td>造成原因</td> <td>修复方案</td> </tr> <tr> <td>重定向攻击</td> <td>跳转的URL由前端输入,存在跳转URL被篡改、构造危害URL地址,导致用户受到攻击</td> <td>方案1、后台设置跳转白名单<br> 方案2、前端提交跳转标识字符,后端返回约定后的URL重定向地址</td> </tr> <tr> <td>服务器端请求伪造(SSRF)</td> <td>一般与使用场景有关,在提交http报文时,报文body参数内容包含完成URL地址,被替换为挂马等有危害URL地址。当用户浏览如后台管理员去审核时,自动会加载有危害URL导致管理员用户受到攻击。另一种构造有危害协议请求从服务端发端攻击内网。</td> <td> <p>1、提交报文时,前端用户不提交完整的URL<br> 2、或在提交时,后台验证URL没有被篡改才能提交</p> <p>3、 只允许http、https协议,限制file、gopher、ftp等协议</p> <p></p> </td> </tr> <tr> <td>XXE漏洞</td> <td>在xml类型数据提交中,构造了对外部实体引用。</td> <td>因不同的xml解析库,修复代码也不同,但都是通过以下方式解决:<br> 1、禁止加载外部实体;<br> 2、不允许XML中含有任何自己声明的DTD</td> </tr> <tr> <td>短信轰炸</td> <td>总体是逻辑设计问题导致,可能是没有验证码、或验证码可重复使用</td> <td>发送间隔60s,一次发送只能到一个手机号<br> 或图片验证码使用一次立即失效等手段</td> </tr> <tr> <td>容器信息泄露</td> <td>服务端未如对如404、500类似错误没有屏蔽,直接把容器中间件等信息返回给前端。导致通过此信息查漏洞直接攻击</td> <td>在框架里或tomcat里配置统一出错页面或信息,或在nginx里指定统一出错信息等手段,尽量避免信息泄露</td> </tr> <tr> <td>越权访问</td> <td>前端在做数据做增、删、改、查时,后端没有做权限 、数据归属做验证</td> <td>对操作的数据时,验证此数据是否归此用户权并有权限操作</td> </tr> <tr> <td>数据遍历</td> <td>数据通过改变ID即可访问</td> <td>1、增加ID的复杂度,设计的ID无法正常可以猜到<br> 2、访问时对用户鉴权</td> </tr> <tr> <td>XSS</td> <td>对危险的字符过滤不全,导致存在XSS风险</td> <td>XSS与业务密切相关,没有好的统一解决方案。一个项目无法只靠一个xss过滤器就能解决所有的XSS问题。总体就是破坏js脚本结构。 | & ; $ % @ ' " + CR LF , . = #都是有风险的字符,建议项目统一用宽一点过滤器,在接口里参数要求严格验证。</td> </tr> <tr> <td>CSRF</td> <td>CSRF是web应用的基本问题,WEB程序缺少安全设计导致黑客通过用户可攻击系统,用户或系统同时遭受损失。</td> <td>在重要的表单提交验证http头referer参数及在接口增加验证动态验证码、页面影藏参数一起提交。具体需要看业务来实现</td> </tr> <tr> <td>SQL注入</td> <td>参数拼接导致</td> <td>所有参数都应采用预编译sql写法即可避免</td> </tr> <tr> <td>文件上传</td> <td>未验证上传文件类型,可导致上传木马(webshell)</td> <td>根据需求验证文件类型,或排除以下文件后缀,jsp,jspx、php,vbs,ps1,exe,asp,aspx,sh,py,rb,html,htm、js、css</td> </tr> <tr> <td>第三方库漏洞</td> <td>引用有漏洞的库。在架构项目时没有检查第三方库,引用的库版本太旧,或第三方库出了新漏洞没有及时升级。</td> <td>在引用库时应检查一下此库的最新版本,引用最新版本。</td> </tr> <tr> <td>任意文件下载</td> <td>前端传入下载文件路径,服务端没有做路径验证,导致可下载服务端任意文件</td> <td>验证前端传入路径或修改程序设计,通过前端传文件ID由服务端去查到文件后再返回</td> </tr> <tr> <td>注释代码未清除</td> <td>不需要功能在前端注释,被爬虫爬到此接口进行攻击。危害程度取决于注释功能的。</td> <td>注释功能 同时在前后端同步去除不必须功能代码,减少攻击面</td> </tr> <tr> <td>业务缺陷</td> <td>业务实现时没有对业务需求做安全评估,没有采用安全设计去实现业务逻辑。信任前端数据输入,没有做验证导致。</td> <td>根据具体业务做分析,应避免逻辑绕过及对前端的数据做充分验证</td> </tr> <tr> <td>用户密码泄露</td> <td>返回用户名和密码给前端,这是世界上最傻的安全问题</td> <td>用户密码永远不要返回给前端</td> </tr> </tbody> </table>
相关 实战案例:Java Web应用中常见安全漏洞及修复 在Java Web应用中,常见的安全漏洞主要包括以下几个方面: 1. **SQL注入**:攻击者通过输入恶意的SQL代码,获取或修改数据库中的信息。 2. **XSS跨站脚 灰太狼/ 2024年09月11日 19:15/ 0 赞/ 14 阅读
相关 JAVA开发(web常见安全漏洞以及修复建议) web安全常见漏洞 ![20ccca2995fc476c92c056ec03add986.png][] ![2f8e22a602764f1298b2d53f02f8d7b5 傷城~/ 2024年03月29日 14:37/ 0 赞/ 59 阅读
相关 web漏洞与修复 一、web漏洞 检测到目标X-Content-Type-Options响应头缺失 <table> <tbody> <tr> <th>详细描述</th> 曾经终败给现在/ 2024年02月05日 19:16/ 0 赞/ 15 阅读
相关 应用安全漏洞及修复 应用安全漏洞及修复 近期阿里云服务漏洞扫描,发现大量应用安全漏洞,做出安全漏洞修复方案,一般三方jar包漏洞,官方发布漏洞时,肯定已有新版本做了处理,所以我们只需要做ja 旧城等待,/ 2022年10月31日 00:54/ 0 赞/ 356 阅读
相关 【WEB安全】常见WEB漏洞 > 欢迎关注公众号: > > ![70][] \----------------------------------------------正文---- 左手的ㄟ右手/ 2022年07月14日 07:58/ 0 赞/ 245 阅读
相关 WEB常见漏洞及修复参考 <table> <tbody> <tr> <td>漏洞类型</td> <td>造成原因</td> <td>修复方案</td> </tr> 浅浅的花香味﹌/ 2022年02月04日 15:59/ 0 赞/ 290 阅读
相关 常见Web安全漏洞 [常见Web安全漏洞][Web] 1.web安全常见攻击手段 xss sql注入 防盗链 csrf 上传漏洞 2. 信息加密与漏洞扫描 对称加密 冷不防/ 2022年01月28日 12:45/ 0 赞/ 311 阅读
还没有评论,来说两句吧...